Biztonsági szempontok kritikus fontosságú számítási feladatokhoz az Azure-ban

A biztonság az egyik alapvető tervezési alapelv, és egyben kulcsfontosságú tervezési terület, amelyet a kritikus fontosságú architektúrafolyamatban első osztályú problémaként kell kezelni.

Tekintettel arra, hogy a kritikus fontosságú kialakítás elsődleges célja a megbízhatóság maximalizálása, hogy az alkalmazás továbbra is működőképes és elérhető maradjon, az ezen a tervezési területen alkalmazott biztonsági szempontok és javaslatok a fenyegetések mérséklésére összpontosítanak, és ez hatással van a rendelkezésre állásra, és akadályozza az általános megbízhatóságot. A szolgáltatásmegtagadási (DDoS) támadások például ismertek, és katasztrofális hatással vannak a rendelkezésre állásra és a teljesítményre. Az, hogy egy alkalmazás hogyan csökkenti ezeket a támadási vektorokat, például a SlowLoris hatással lesz az általános megbízhatóságra. Ezért az alkalmazást teljes mértékben védeni kell azokkal a fenyegetésekkel szemben, amelyek közvetlenül vagy közvetve veszélyeztetik az alkalmazás megbízhatóságát, hogy valóban kritikus fontosságúak legyenek.

Azt is fontos megjegyezni, hogy gyakran jelentős kompromisszumok kapcsolódnak a megkeményített biztonsági helyzethez, különösen a teljesítmény, a működési rugalmasság és bizonyos esetekben a megbízhatóság tekintetében. Ha például beágyazott hálózati virtuális berendezéseket (NVA) vesz fel a következő generációs tűzfal (NGFW) képességeihez, például a mély csomagvizsgálathoz, jelentős teljesítménybírságot, további működési összetettséget és megbízhatósági kockázatot jelent, ha a méretezhetőségi és helyreállítási műveletek nem összhangban vannak az alkalmazáséval. Ezért alapvető fontosságú, hogy a kulcsfontosságú fenyegetésvektorok mérséklésére szolgáló további biztonsági összetevők és eljárások is az alkalmazások megbízhatósági célértékének támogatására legyenek kialakítva, ami az ebben a szakaszban ismertetett javaslatok és szempontok kulcsfontosságú részét képezi majd.

Fontos

Ez a cikk az Azure Well-Architected kritikus fontosságú számítási feladatok sorozatának része. Ha nem ismeri ezt a sorozatot, javasoljuk, hogy kezdje a kritikus fontosságú számítási feladatokkal?

– Kritikus nyílt forráskód projekt

A referencia-implementációk a GitHubon elérhető nyílt forráskód projekt részét képezik. A kódegységek egy Teljes felügyelet modellt vezetnek be a biztonsági tervezési és megvalósítási megközelítés strukturálásához és irányításához.

Igazítás a Teljes felügyelet modellhez

A Microsoft Teljes felügyelet modell proaktív és integrált megközelítést biztosít a biztonság alkalmazás minden rétegére történő alkalmazásához. A Teljes felügyelet vezérelvei arra törekszenek, hogy minden tranzakciót explicit módon és folyamatosan ellenőrizzenek, a lehető legkevesebb jogosultságot érvényre lépjenek, intelligenciát és fejlett észlelést használjanak a fenyegetések közel valós idejű megválaszolásához. Végső soron az alkalmazás peremhálózatán belüli és kívüli bizalmi kapcsolat megszüntetésére összpontosít, és minden olyan ellenőrzés kikényszerítésére irányul, amely megpróbál csatlakozni a rendszerhez.

Kialakítási szempontok

Az alkalmazás biztonsági helyzetének felmérése során kezdje ezeket a kérdéseket az egyes szempontok alapjául.

• Folyamatos biztonsági tesztelés a legfontosabb biztonsági rések kockázatcsökkentéseinek ellenőrzéséhez.

  • A biztonsági tesztelés automatizált CI/CD-folyamatok részeként történik?
  • Ha nem, milyen gyakran végeznek konkrét biztonsági tesztelést?
  • A teszteredmények a kívánt biztonsági helyzethez és fenyegetésmodellhez vannak mérve?

• Biztonsági szint az összes alacsonyabb környezetben.

  • A fejlesztési életciklus minden környezete ugyanolyan biztonsági állapotú, mint az éles környezet?

• Hitelesítés és engedélyezés folytonossága hiba esetén.

  • Ha a hitelesítési vagy engedélyezési szolgáltatások átmenetileg nem érhetők el, az alkalmazás továbbra is működni fog?

• Automatizált biztonsági megfelelőség és szervizelés.

  • Észlelhetők a kulcsbiztonsági beállítások módosításai?
  • Automatizáltak a nem megfelelő módosítások elhárítására adott válaszok?

• Titkos kód beolvasása a kód véglegesítése előtt a titkos kódok észleléséhez, hogy megakadályozza a titkos kódok forráskód-adattárakon keresztüli kiszivárgását.

  • Lehetséges a szolgáltatások hitelesítése anélkül, hogy hitelesítő adatokkal kellene rendelkeznie a kód részeként?

• A szoftverellátási lánc védelme.

  • Nyomon követhetők a gyakori biztonsági rések és kitettségek (CVE-k) a használt csomagfüggőségeken belül?
  • Van automatizált folyamat a csomagfüggőségek frissítésére?

• Az adatvédelmi kulcs életciklusa.

  • Használhatóak szolgáltatás által felügyelt kulcsok az adatintegritási védelemhez?
  • Ha ügyfél által felügyelt kulcsokra van szükség, hogyan működik a kulcsok biztonságos és megbízható életciklusa?

• A CI/CD-eszközök használatához Microsoft Entra szolgáltatásneveknek elegendő előfizetési szintű hozzáféréssel kell rendelkezniük ahhoz, hogy megkönnyítsék az Azure-erőforrások üzembe helyezésének vezérlési síkhoz való hozzáférését az összes figyelembe vett környezeti előfizetéshez.

  • Ha az alkalmazáserőforrások privát hálózatokon belül vannak zárolva, van-e privát adatsík kapcsolati útvonala, hogy a CI/CD-eszközök alkalmazásszintű üzembe helyezéseket és karbantartást hajtsanak végre.
    • Ez további összetettséget vezet be, és megköveteli, hogy az üzembe helyezési folyamaton belül a szükséges privát buildügynökökön keresztül szekvenciát hozzon létre.

Tervezési javaslatok

• A Azure Policy használatával kényszerítheti a biztonsági és megbízhatósági konfigurációkat az összes szolgáltatásra vonatkozóan, biztosítva, hogy a vezérlősík a konfigurációs időpontban elhárítsa vagy tiltsa az eltéréseket, ezzel segítve a "rosszindulatú rendszergazdai" forgatókönyvekkel kapcsolatos fenyegetések mérséklését.

• Az éles előfizetésekben Microsoft Entra Privileged Identity Management (PIM) használatával visszavonhatja az éles környezetekhez való folyamatos vezérlősík-hozzáférést. Ez jelentősen csökkenti a "rosszindulatú rendszergazdai" forgatókönyvekből eredő kockázatokat további "ellenőrzéseken és egyenlegeken" keresztül.

• Az Azure Managed Identityes használata minden olyan szolgáltatáshoz, amely támogatja a képességet, mivel megkönnyíti a hitelesítő adatok eltávolítását az alkalmazáskódból, és eltávolítja a szolgáltatás és a szolgáltatás közötti kommunikáció identitáskezelésének működési terheit.

• Használja Microsoft Entra szerepköralapú hozzáférés-vezérlést (RBAC) az adatsík-engedélyezéshez az összes olyan szolgáltatással, amely támogatja a képességet.

• Az alkalmazáskódon belüli belső Microsoft Identitásplatform hitelesítési kódtárak használatával integrálhatja Microsoft Entra ID.

• Fontolja meg a biztonságos jogkivonat-gyorsítótárazást, hogy csökkentett teljesítményű, de elérhető felhasználói élményt biztosíthasson, ha a választott identitásplatform nem érhető el, vagy csak részben érhető el az alkalmazás engedélyezéséhez.

  • Ha a szolgáltató nem tud új hozzáférési jogkivonatokat kiadni, de továbbra is ellenőrzi a meglévőket, az alkalmazás és a függő szolgáltatások probléma nélkül működhetnek, amíg a jogkivonatok le nem járnak.
  • A jogkivonatok gyorsítótárazását általában automatikusan kezelik a hitelesítési kódtárak (például az MSAL).

• A kódkénti infrastruktúra (IaC) és az automatizált CI/CD-folyamatok használatával az összes alkalmazásösszetevő frissítéseit ösztönözheti, beleértve a meghibásodási körülményeket is.

  • Győződjön meg arról, hogy a CI/CD-eszközök szolgáltatáskapcsolatai kritikus fontosságú bizalmas információkként vannak védve, és nem lehetnek közvetlenül elérhetők egyetlen szolgáltatáscsapat számára sem.
  • Alkalmazzon részletes RBAC-t az éles CD-folyamatokra a "rosszindulatú rendszergazdai" kockázatok mérséklése érdekében.
  • Fontolja meg a manuális jóváhagyási kapuk használatát az éles üzembehelyezési folyamatokon belül a "rosszindulatú rendszergazdai" kockázatok további mérsékléséhez, és további technikai biztosítékot nyújt az összes éles változáshoz.
    • A további biztonsági kapuk agilitás szempontjából kompromisszumot hozhatnak, és gondosan meg kell vizsgálni, figyelembe véve, hogy az agilitás hogyan tartható fenn még kézi kapukkal is.

• Adjon meg egy megfelelő biztonsági állapotot az összes alacsonyabb környezethez a kulcsfontosságú biztonsági rések elhárításának biztosítása érdekében.

  • Ne alkalmazza ugyanazt a biztonsági állapotot, mint a gyártás, különös tekintettel az adatkiszivárgásra, kivéve, ha a jogszabályi követelmények előírják ennek szükségességét, mivel ez jelentősen rontja a fejlesztői rugalmasságot.

• Engedélyezze a Microsoft Defender a Felhőhöz (korábbi nevén Azure Security Center) minden olyan előfizetéshez, amely egy kritikus fontosságú számítási feladat erőforrásait tartalmazza.

  • A megfelelőség kikényszerítéséhez használja a Azure Policy.
  • Engedélyezze az Azure Defendert minden olyan szolgáltatáshoz, amely támogatja a képességet.

• Használja a DevSecOpsot , és implementálja a biztonsági tesztelést a CI/CD-folyamatokban.

  • A teszteredményeket megfelelő biztonsági állapottal kell mérni, hogy tájékoztassák a kiadás jóváhagyását, legyen az automatizált vagy manuális.
  • Alkalmazza a biztonsági tesztelést a CD éles folyamatának részeként az egyes kiadásokhoz.
    • Ha az egyes kiadások biztonsági tesztelése veszélyezteti a működési rugalmasságot, győződjön meg arról, hogy a rendszer megfelelő biztonsági tesztelési ütemet alkalmaz.

• Engedélyezze a titkos kódok beolvasását és a függőségek vizsgálatát a forráskódtárban.

Fenyegetésmodellezés

A veszélyforrások modellezése kockázatalapú megközelítést biztosít a biztonsági tervezéshez, amely azonosított potenciális fenyegetéseket használ a megfelelő biztonsági kockázatcsökkentések kidolgozásához. Számos lehetséges fenyegetés létezik, amelyek előfordulási valószínűsége eltérő, és a fenyegetések sok esetben váratlan, kiszámíthatatlan, sőt kaotikus módon láncolódhatnak. Ez az összetettség és bizonytalanság miatt a hagyományos technológiai követelményeken alapuló biztonsági megközelítések nagyrészt nem megfelelőek a kritikus fontosságú felhőalkalmazásokhoz. Elvárhatja, hogy a kritikus fontosságú alkalmazások fenyegetésmodellezési folyamata összetett és összetett legyen.

A kihívások közötti navigáláshoz rétegzett, részletes védelmi megközelítést kell alkalmazni a modellezett fenyegetések kompenzáló kockázatcsökkentéseinek meghatározására és implementálására, figyelembe véve az alábbi védelmi rétegeket.

1. Az Azure platform alapvető biztonsági képességekkel és vezérlőkkel.
2. Az alkalmazásarchitektúra és a biztonsági tervezés.
3. Az Azure-erőforrások védelmére beépített, engedélyezett és üzembe helyezhető biztonsági funkciók.
4. Alkalmazáskód és biztonsági logika.
5. Üzemeltetési folyamatok és DevSecOps.

Megjegyzés

Az Azure-beli célzónán belüli üzembe helyezéskor vegye figyelembe, hogy a központi biztonsági képességek kiépítésén keresztül egy további fenyegetéscsökkentési réteget biztosít a célzóna implementációja.

Kialakítási szempontok

A STRIDE egy egyszerű kockázati keretrendszert biztosít a biztonsági fenyegetések kulcsfontosságú fenyegetésvektorok közötti értékeléséhez.

• Hamis identitás: Személyek megszemélyesítése felhatalmazással. Például egy támadó megszemélyesít egy másik felhasználót a -
  • Identitás
  • Hitelesítés
• Illetéktelen bevitel: Az alkalmazásnak küldött bemenet módosítása vagy a megbízhatósági korlátok megsértése az alkalmazás kódjának módosításához. Egy támadó például SQL-injektálást használ az adatbázistáblák adatainak törléséhez.
  • Adatintegritás
  • Érvényesítés
  • Tiltólista/engedélyezés
• A művelet megtagadása: A már végrehajtott műveletek cáfolásának képessége, valamint az alkalmazás azon képessége, hogy bizonyítékokat gyűjtsön és elszámoltathatóságot biztosítson. Például a kritikus adatok törlése anélkül, hogy rosszindulatú rendszergazdai nyomkövetésre képes.
  • Naplózás/naplózás
  • Aláírás
• Információfelfedés: Hozzáférés a korlátozott információkhoz. Ilyen például egy támadó, aki korlátozott fájlhoz fér hozzá.
  • Titkosítás
  • Adatkiszivárgás
  • Ember-a-a-középső támadások
• Szolgáltatásmegtagadás: Rosszindulatú alkalmazáskimaradás a felhasználói élmény csökkentése érdekében. Például egy DDoS botnet-támadás, például Slowloris.
  • DDoS
  • Botnetek
  • CDN- és WAF-képességek
• Jogosultságszint emelése: Jogosultsággal rendelkező alkalmazáshozzáférés megszerzése az engedélyezési biztonsági rések használatával. Egy támadó például módosít egy URL-sztringet, hogy hozzáférjen a bizalmas információkhoz.
  • Távoli kódvégrehajtás
  • Engedélyezés
  • Elkülönítés

Tervezési javaslatok

• A lehetséges új fenyegetések kiértékeléséhez és a kockázatcsökkentések implementálásához rendeljen mérnöki költségvetést az egyes futamokon belül.

• Tudatos erőfeszítéseket kell tenni annak biztosítása érdekében, hogy a biztonsági kockázatcsökkentések rögzítve legyenek egy közös mérnöki kritériumokon belül, hogy az összes alkalmazásszolgáltatás-csapat konzisztenciáját biztosítsák.

• Kezdje egy szolgáltatással a szolgáltatásszintű fenyegetésmodellezés alapján, és egyesítse a modellt a szálmodell alkalmazásszintű összesítésével.

Hálózati behatolás elleni védelem

A kritikus fontosságú alkalmazásokhoz és a teljes adatokhoz való jogosulatlan hozzáférés megakadályozása elengedhetetlen a rendelkezésre állás és az adatintegritás megőrzése érdekében.

Kialakítási szempontok

• Teljes felügyelet egy sérült állapotot feltételez, és ellenőrzi az egyes kéréseket, mintha egy ellenőrizetlen hálózatból származnak.

  • A megbízható hálózatok fejlett implementációja mikroszegmentálást és elosztott bejövő/kimenő mikroszegmenseket alkalmaz.

• Az Azure PaaS-szolgáltatások általában nyilvános végpontokon keresztül érhetők el. Az Azure biztosítja a nyilvános végpontok védelmét, vagy akár teljesen privátsá teszi őket.

  • Azure Private Link/privát végpontok dedikált hozzáférést biztosítanak egy Azure PaaS-erőforráshoz privát IP-címek és privát hálózati kapcsolat használatával.
  • Virtual Network szolgáltatásvégpontok szolgáltatásszintű hozzáférést biztosítanak a kijelölt alhálózatokról a kiválasztott PaaS-szolgáltatásokhoz.
  • Virtual Network Injektálás dedikált privát üzembe helyezéseket biztosít a támogatott szolgáltatásokhoz, például App Service egy App Service Environment keresztül.
    • A felügyeleti sík forgalma továbbra is a nyilvános IP-címeken halad át.

• A támogatott szolgáltatások esetében az Azure Private Endpoints Azure Private Link a szolgáltatásvégpontokhoz kapcsolódó adatkiszivárgási kockázatokkal foglalkozik, például egy rosszindulatú rendszergazda, aki adatokat ír egy külső erőforrásba.

• Ha privát végpontok vagy szolgáltatásvégpontok használatával korlátozza az Azure PaaS-szolgáltatásokhoz való hálózati hozzáférést, biztonságos hálózati csatornára lesz szükség ahhoz, hogy az üzembe helyezési folyamatok az Azure-erőforrások Azure-vezérlősíkját és adatsíkját is elérhessék az alkalmazás üzembe helyezéséhez és kezeléséhez.

  • Magánhálózatra telepített saját üzemeltetésű buildügynökök , mivel az Azure-erőforrás proxyként használható CI/CD-függvények privát kapcsolaton keresztüli végrehajtásához. Az ügynökök létrehozásához külön virtuális hálózatot kell használni.
    • A privát buildügynökökhöz CI/CD-eszközkészletből való csatlakozás szükséges.
  • Egy másik módszer az erőforrás tűzfalszabályainak módosítása menet közben a folyamaton belül, hogy engedélyezve legyen a kapcsolat egy Azure DevOps-ügynök nyilvános IP-címéről, és a tűzfal a feladat befejezése után el lesz távolítva.
    • Ez a megközelítés azonban csak az Azure-szolgáltatások egy részhalmazára vonatkozik. Ez például privát AKS-fürtök esetében nem kivitelezhető.
  • Fejlesztői és rendszergazdai feladatok végrehajtásához az alkalmazásszolgáltatás jump boxok használhatók.

• Az adminisztrációs és karbantartási feladatok elvégzése egy további forgatókönyv, amely az Azure-erőforrások adatsíkjával való kapcsolatot igényli.

• A megfelelő Microsoft Entra szolgáltatásnévvel rendelkező szolgáltatás Connections az Azure DevOpsban használható az RBAC Microsoft Entra ID keresztüli alkalmazásához.

• A szolgáltatáscímkék a hálózati biztonsági csoportokra alkalmazhatók az Azure PaaS-szolgáltatásokkal való kapcsolat megkönnyítése érdekében.

• Az alkalmazásbiztonsági csoportok nem terjednek ki több virtuális hálózatra.

• Az Azure Network Watcher csomagrögzítésének időtartama legfeljebb öt óra lehet.

Tervezési javaslatok

• Korlátozza a nyilvános hálózati hozzáférést az alkalmazás üzleti céljának teljesítéséhez szükséges abszolút minimálisra a külső támadási felület csökkentése érdekében.

  • A Azure Private Link használatával privát végpontokat hozhat létre biztonságos hálózati integrációt igénylő Azure-erőforrásokhoz.
  • A CI/CD-eszközökhöz üzemeltetett privát buildügynökökkel helyezhet üzembe és konfigurálhat Azure Private Link által védett Azure-erőforrásokat.
    • A Microsoft által üzemeltetett ügynökök nem tudnak közvetlenül csatlakozni a hálózati integrált erőforrásokhoz.

• Privát buildügynökök használata esetén soha ne nyisson meg RDP- vagy SSH-portot közvetlenül az internetre.

  • Az Azure Bastion használatával biztonságos hozzáférést biztosíthat az Azure Virtual Machines és felügyeleti feladatokat végezhet az Azure PaaS-en az interneten keresztül.

• Az alkalmazáson belüli összes nyilvános IP-cím védelméhez használjon szabványos DDoS-védelmi tervet.

• Az Azure Front Door webalkalmazási tűzfalszabályzataival biztosíthatja és védheti a több Azure-régióra kiterjedő globális HTTP/S-alkalmazásokat.

  • A Fejlécazonosító érvényesítése funkcióval zárolhatja a nyilvános alkalmazásvégpontokat, így csak az Azure Front Door-példányból származó forgalmat fogadják el.

• Ha további, soros hálózati biztonsági követelmények, például mélycsomag-vizsgálat vagy TLS-vizsgálat, Azure Firewall Premium vagy Hálózati virtuális berendezés (NVA) használatát írja elő, győződjön meg arról, hogy a maximális magas rendelkezésre álláshoz és redundanciához van konfigurálva.

• Ha csomagrögzítési követelmények léteznek, Network Watcher csomagokat használjon a korlátozott rögzítési időszak ellenére történő rögzítéshez.

• Használja a hálózati biztonsági csoportokat és az alkalmazásbiztonsági csoportokat az alkalmazásforgalom mikroszegmentálásához.

  • Ne használjon biztonsági berendezést az alkalmazáson belüli forgalom szűréséhez.
  • Fontolja meg a Azure Policy használatát adott NSG-szabályok kényszerítéséhez, amelyek mindig alkalmazás-alhálózatokhoz vannak társítva.

• Engedélyezze az NSG-folyamatnaplókat, és adja meg őket a Traffic Analyticsbe, hogy betekintést nyerjen a belső és külső forgalmi folyamatokba.

• Ha elérhető, Azure Private Link/privát végpontok használatával biztosíthatja az Azure PaaS-szolgáltatásokhoz való hozzáférést az alkalmazásterven belül. A Private Link támogató Azure-szolgáltatásokkal kapcsolatos információkért lásd: Azure Private Link rendelkezésre állás.

• Ha a privát végpont nem érhető el, és az adatkiszivárgási kockázatok elfogadhatók, használja a Virtual Network szolgáltatásvégpontokat az Azure PaaS-szolgáltatások virtuális hálózaton belüli eléréséhez.

  • Alapértelmezés szerint ne engedélyezze a virtuális hálózati szolgáltatásvégpontokat az összes alhálózaton, mivel ez jelentős adatkiszivárgási csatornákat fog bevezetni.

• Hibrid alkalmazások esetén az Azure PaaS-szolgáltatásokat a helyszíni expressRoute-on keresztül, privát társviszony-létesítéssel érheti el.

Megjegyzés

Az Azure-beli célzónán belüli üzembe helyezéskor vegye figyelembe, hogy a helyszíni adatközpontokhoz való hálózati kapcsolatot a célzóna implementációja biztosítja. Az egyik módszer a privát társviszony-létesítéssel konfigurált ExpressRoute használata.

Adatintegritási védelem

A titkosítás létfontosságú lépés az adatintegritás biztosítása felé, és végső soron az egyik legfontosabb biztonsági képesség, amely a fenyegetések széles skáláját mérsékelheti. Ez a szakasz ezért a titkosítással és a kulcskezeléssel kapcsolatos legfontosabb szempontokat és javaslatokat nyújt az adatok védelme érdekében az alkalmazás megbízhatóságának veszélyeztetése nélkül.

Kialakítási szempontok

• Az Azure Key Vault tranzakciós korlátozásokkal rendelkezik a kulcsokra és titkos kódokra vonatkozóan, és a szabályozást tárolónként egy adott időszakon belül alkalmazzák.

• Az Azure Key Vault biztonsági határt biztosít, mivel a kulcsok, titkos kulcsok és tanúsítványok hozzáférési engedélyei tárolószinten vannak alkalmazva.

  • Key Vault hozzáférési szabályzat-hozzárendelések külön-külön biztosítanak engedélyeket kulcsokhoz, titkos kódokhoz vagy tanúsítványokhoz.
    • Mostantól részletes objektumszintű engedélyek érhetők el egy adott kulcshoz, titkos kódhoz vagy tanúsítványhoz.

• A szerepkör-hozzárendelés módosítása után a szerepkör alkalmazása akár 10 percet (600 másodpercet) is igénybe vehet.

  • Előfizetésenként legfeljebb 2000 Azure-beli szerepkör-hozzárendelés engedélyezett.

• Az Azure Key Vault mögöttes hardverbiztonsági modulok (HSM-ek) FIPS 140-ellenőrzéssel rendelkeznek.

  • Dedikált Azure Key Vault felügyelt HSM érhető el a FIPS 140-2 3. szintű megfelelőséget igénylő forgatókönyvekhez.

• Az Azure Key Vault magas rendelkezésre állást és redundanciát biztosít a rendelkezésre állás fenntartásához és az adatvesztés megelőzéséhez.

• A régió feladatátvétele során eltarthat néhány percig, amíg a Key Vault szolgáltatás feladatátvétele megtörténik.

  • A feladatátvételi Key Vault írásvédett módban lesznek, így nem lehet módosítani a kulcstartó tulajdonságait, például a tűzfalkonfigurációkat és a beállításokat.

• Ha privát kapcsolattal csatlakozik az Azure Key Vault, akár 20 percet is igénybe vehet, amíg a kapcsolat újra létrejön egy regionális feladatátvétel során.

• A biztonsági mentés pillanatképet készít egy titkos kulcsról, kulcsról vagy tanúsítványról, olyan titkosított blobként, amely nem fejthető vissza az Azure-on kívül. A blob használható adatainak lekéréséhez vissza kell állítani egy Key Vault ugyanabban az Azure-előfizetésben és az Azure földrajzi területén.

  • A titkos kódok megújulhatnak a biztonsági mentés során, ami eltérést okozhat.

• A szolgáltatás által felügyelt kulcsokkal az Azure kulcskezelési funkciókat hajt végre, például a rotációt, ezáltal csökkentve az alkalmazásműveletek hatókörét.

• A szabályozási ellenőrzések előírhatják az ügyfél által felügyelt kulcsok használatát a szolgáltatástitkosítási funkciókhoz.

• Amikor a forgalom az Azure-adatközpontok között mozog, a RENDSZER MACsec adatkapcsolati rétegbeli titkosítást használ a mögöttes hálózati hardveren, hogy biztonságossá tegye az átvitt adatokat a Microsoft által nem ellenőrzött fizikai határokon kívül vagy a Microsoft nevében.

Tervezési javaslatok

• Ha lehetséges, szolgáltatás által felügyelt kulcsokat használjon az adatvédelemhez, nem szükséges kezelni a titkosítási kulcsokat, és kezelni kell az olyan üzemeltetési feladatokat, mint a kulcsváltás.

  • Csak akkor használjon ügyfél által felügyelt kulcsokat, ha erre egyértelmű jogszabályi követelmény vonatkozik.

• Ha további titkosítási mechanizmusokat vagy ügyfél által felügyelt kulcsokat is figyelembe kell venni, használja az Azure Key Vault biztonságos adattárként az összes titkos kódhoz, tanúsítványhoz és kulcshoz.

  • Az Azure Key Vault kiépítése a helyreállítható törlési és törlési szabályzatokkal engedélyezve a törölt objektumok adatmegőrzési védelmének engedélyezéséhez.
  • HSM-alapú Azure Key Vault termékváltozat használata alkalmazás-éles környezetekhez.

• Helyezzen üzembe egy külön Azure Key Vault-példányt az egyes regionális üzembehelyezési bélyegeken belül, amely a honosításon keresztül biztosítja a hibaelkülönítést és a teljesítménybeli előnyöket, valamint az egyetlen Key Vault példány által előírt méretezési korlátokat.

  • Használjon dedikált Azure Key Vault-példányt az alkalmazás globális erőforrásaihoz.

• Kövesse a minimális jogosultsági modellt úgy, hogy az engedélyezést a titkos kódok, kulcsok és tanúsítványok végleges törlésére korlátozza speciális egyéni Microsoft Entra szerepkörökre.

• Győződjön meg arról, hogy a titkosítási kulcsok és a Key Vault tárolt tanúsítványok biztonsági másolatai offline példányt biztosítanak a valószínűtlen eseményben, Key Vault elérhetetlenné válnak.

• Key Vault tanúsítványok használatával kezelheti a tanúsítványbeszerzést és az aláírást.

• Hozzon létre egy automatizált folyamatot a kulcs- és tanúsítványrotáláshoz.

  • Automatizálja a tanúsítványkezelési és -megújítási folyamatot a nyilvános hitelesítésszolgáltatókkal a felügyelet megkönnyítése érdekében.
    • Riasztások és értesítések beállítása az automatikus tanúsítványmegújítások kiegészítéséhez.

• A kulcs, a tanúsítvány és a titkos kód használatának figyelése.

  • Riasztások definiálása váratlan használathoz az Azure Monitoron belül.

Szabályzatalapú irányítás

A biztonsági konvenciók végső soron csak akkor hatékonyak, ha következetesen és holisztikusan érvényesítik az összes alkalmazásszolgáltatást és csapatot. Azure Policy a biztonsági és megbízhatósági alapkonfigurációk kikényszerítésére szolgáló keretrendszert biztosít, amely biztosítja a kritikus fontosságú alkalmazások közös mérnöki kritériumainak való folyamatos megfelelést. Pontosabban, Azure Policy az Azure Resource Manager (ARM) vezérlősíkjának kulcsfontosságú részét képezi, kiegészítve az RBAC-t azáltal, hogy korlátozza az engedélyezett felhasználók által végrehajtható műveleteket, és felhasználható a létfontosságú biztonsági és megbízhatósági konvenciók kikényszerítésére a használt platformszolgáltatásokban.

Ez a szakasz ezért az Azure Policy-alapú irányítás kritikus fontosságú alkalmazásokhoz való használatával kapcsolatos legfontosabb szempontokat és javaslatokat fogja megvizsgálni, biztosítva a biztonsági és megbízhatósági konvenciók folyamatos érvényesítését.

Kialakítási szempontok

• Azure Policy olyan mechanizmust biztosít, amely a megfelelőséget olyan biztonsági és megbízhatósági konvenciók kikényszerítésével segíti elő, mint a privát végpontok használata vagy a Availability Zones használata.

Megjegyzés

Az Azure-beli célzónán belüli üzembe helyezéskor vegye figyelembe, hogy a központi alapkonfigurációs szabályzat-hozzárendelések kényszerítése valószínűleg a célzóna-felügyeleti csoportok és -előfizetések implementációjában lesz alkalmazva.

• Azure Policy az automatizált felügyeleti tevékenységek, például a kiépítés és a konfigurálás irányítására használhatók.

  • Erőforrás-szolgáltató regisztrációja.
  • Az egyes Azure-erőforráskonfigurációk érvényesítése és jóváhagyása.

• Azure Policy hozzárendelés hatóköre határozza meg a lefedettséget, és a Azure Policy definíciók helye tájékoztatja az egyéni szabályzatok újrafelhasználhatóságáról.

• Azure Policy számos korlátozást tartalmaz, például a definíciók számát egy adott hatókörben.

• A Deploy If Not Exist (DINE) szabályzatok végrehajtása eltarthat néhány percig.

• Azure Policy kritikus fontosságú bemenetet biztosít a megfelelőségi jelentéskészítéshez és a biztonsági naplózáshoz.

Tervezési javaslatok

• A szabályozási és megfelelőségi követelmények leképezése Azure Policy definíciókra.

  • Ha például adattárolási követelmények vannak érvényben, a rendelkezésre álló üzembehelyezési régiók korlátozására szabályzatot kell alkalmazni.

• Definiáljon egy általános mérnöki feltételeket, amelyekkel biztonságos és megbízható konfigurációs definíciókat rögzíthet az összes használt Azure-szolgáltatáshoz, biztosítva, hogy ez a feltétel Azure Policy hozzárendelésekre legyen leképezve a megfelelőség kényszerítése érdekében.

  • Alkalmazzon például egy Azure Policy, amely kikényszeríti a Availability Zones használatát az összes releváns szolgáltatáshoz, biztosítva a régión belüli megbízható üzembehelyezési konfigurációkat.

A kritikus fontosságú referencia-implementáció biztonsági és megbízhatóság-központú szabályzatok széles skáláját tartalmazza egy minta általános mérnöki kritériumok meghatározásához és érvényesítéséhez.

• Monitorozza a szolgáltatáskonfiguráció eltérését a gyakori mérnöki feltételekhez képest, Azure Policy használatával.

Kritikus fontosságú forgatókönyvek esetén, ha egy dedikált felügyeleti csoport több éles előfizetéssel rendelkezik, rangsorolja a hozzárendeléseket a felügyeleti csoport hatókörében.

• Ha lehetséges, használjon beépített szabályzatokat az egyéni szabályzatdefiníciók fenntartásával kapcsolatos működési többletterhelés minimalizálásához.

• Ha egyéni szabályzatdefiníciókra van szükség, győződjön meg arról, hogy a definíciók megfelelő felügyeleticsoport-hatókörben vannak üzembe helyezve, hogy lehetővé tegyék az újrafelhasználást a teljes környezethez tartozó előfizetésekben, így a szabályzatok újra felhasználhatók éles és alacsonyabb környezetekben.

  • Amikor az alkalmazásfejlesztési ütemtervet az Azure-ütemtervekhez igazítja, használja a rendelkezésre álló Microsoft-erőforrásokat annak vizsgálatához, hogy a kritikus egyéni definíciók beépített definíciókként beépíthetők-e.

Megjegyzés

Azure-beli kezdőzónán belüli üzembe helyezéskor fontolja meg egyéni Azure Policy-definíciók üzembe helyezését a köztes vállalati gyökérszintű felügyeleti csoport hatókörén belül, hogy a szélesebb Körű Azure-tulajdonban lévő összes alkalmazás újra felhasználható legyen. Kezdőzóna-környezetben bizonyos központosított biztonsági szabályzatok alapértelmezés szerint a magasabb szintű felügyeleti csoportok hatókörén belül lesznek alkalmazva, hogy a biztonsági megfelelőség a teljes Azure-tulajdonra érvényes legyen. Azure-szabályzatokat kell alkalmazni például a szoftverkonfigurációk virtuálisgép-bővítményeken keresztüli automatikus üzembe helyezésére és a megfelelő alapkonfiguráció kényszerítésére.

• A Azure Policy használatával konzisztens címkézési sémát kényszeríthet ki az alkalmazáson belül.
  • Azonosítsa a szükséges Azure-címkéket, és használja a hozzáfűzési szabályzat módot a használat kényszerítéséhez.

Ha az alkalmazás előfizetett a Microsoft Mission-Critical-támogatásra, győződjön meg arról, hogy az alkalmazott címkézési séma értelmes környezetet biztosít a támogatási élmény gazdagításához az alkalmazások részletes megértésével.

• Exportálja Microsoft Entra tevékenységnaplókat az alkalmazás által használt globális Log Analytics-munkaterületre.
  • Győződjön meg arról, hogy az Azure-tevékenységnaplók archiválva vannak a globális tárfiókon belül, valamint a működési adatok hosszú távú megőrzése érdekében.

Egy Azure-beli kezdőzónában Microsoft Entra tevékenységnaplók is be lesznek betöltve a központosított platform Log Analytics-munkaterületére. Ebben az esetben ki kell értékelni, ha a globális Log Analytics-munkaterületen továbbra is szükség van Microsoft Entra ID.

• A biztonsági információk és az eseménykezelés integrálása a felhőhöz készült Microsoft Defender (korábbi nevén Azure Security Center).

Az IaaS-specifikus szempontok a Virtual Machines használatakor

Azokban az esetekben, amikor az IaaS Virtual Machines használatára van szükség, figyelembe kell venni néhány jellemzőt.

Kialakítási szempontok

• A rendszer nem frissíti automatikusan a rendszerképeket az üzembe helyezés után.
• Frissítések nincsenek automatikusan telepítve a virtuális gépek futtatásához.
• A rendszerképeket és az egyes virtuális gépeket általában nem edzették ki azonnal.

Tervezési javaslatok

• Ne engedélyezze a nyilvános interneten keresztüli közvetlen hozzáférést Virtual Machines az SSH-hoz, RDP-hez vagy más protokollokhoz való hozzáférés biztosításával. Mindig az Azure Bastiont és a jumpboxokat használja korlátozott hozzáféréssel a felhasználók egy kis csoportjához.
• Korlátozza a közvetlen internetkapcsolatot a hálózati biztonsági csoportok, az (Azure) tűzfal vagy az Application Gateways (7. szint) használatával a kimenő forgalom szűréséhez és korlátozásához.
• Többrétegű alkalmazások esetén fontolja meg a különböző alhálózatok használatát, és a hálózati biztonsági csoportok használatával korlátozza a hozzáférést a kettő között.
• Ha lehetséges, rangsorolja a nyilvános kulcsos hitelesítés használatát. A titkos kulcsokat biztonságos helyen, például az Azure Key Vault tárolja.
• A virtuális gépek védelme hitelesítéssel és hozzáférés-vezérléssel.
• Alkalmazza ugyanazokat a biztonsági eljárásokat, mint a kritikus fontosságú alkalmazási forgatókönyvek esetében.

Kövesse és alkalmazza a fent leírt, kritikus fontosságú alkalmazásforgatókönyvek biztonsági gyakorlatait, valamint az Azure-beli IaaS számítási feladatok biztonsági ajánlott eljárásait.

Következő lépés

Tekintse át a kritikus fontosságú alkalmazási forgatókönyvek üzemeltetési eljárásainak ajánlott eljárásait.

Működési eljárások